Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu

**Coriolan** · 18/12/2016, 10h21

Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu
Remettant en question la sécurité des systèmes Linux

Si vous utilisez une des distributions populaires de Linux comme Ubuntu et Fedora (y compris la dernière version Fedora 25 publiée récemment), il y a de fortes chances que vous soyez vulnérable à des failles zero-day décelées par Chris Evans. Si elles sont dument exploitées, ces vulnérabilités permettent de mettre à mal la sécurité des utilisateurs de Linux à travers la manipulation d’un simple fichier audio. Ces failles sont d'autant plus intéressantes puisqu’elles remettent en question la prétention selon laquelle Linux serait plus robuste face à ces types d’attaques qui ont hanté les utilisateurs de Windows pendant plus d’une décennie et qui ont commencé à prendre en piège les utilisateurs du Mac également ces dernières années.

Le chercheur de sécurité Chris Evans a publié dans un billet de blog les détails concernant ces vulnérabilités qui pourraient être utilisées pour compromettre la sécurité des systèmes tournant sous Linux. Bien que ces attaques ne devraient pas menacer les serveurs Linux, elles sont susceptibles de compromettre la sécurité de l’ensemble des versions desktop de Linux qui sont largement adoptées par les employés de grandes firmes, telles que Google, Facebook dans le but d’éviter les entraves à la sécurité que ça soit dans Windows ou MacOS.

Selon les détails présentés par Chris Evans, le simple fait d’ouvrir un fichier de musique permettra de mener des attaques sur des machines Linux. Et si par hasard un utilisateur de Fedora 25 (la dernière version de la distribution) utilise Chrome, l’attaquant pourra exécuter à distance le code malicieux. Une des vulnérabilités qui permettent ces attaques exploite une faille dans une bibliothèque logicielle connue sous le nom Game Music Emu et qui est utilisée pour émuler la musique des consoles de jeux vidéos comme la SNES.

Un fichier .spc, créé spécialement pour la SNES, peut être utilisé pour exécuter n’importe quel code malicieux. En renommant ce fichier en .flac ou .mp3, les utilisateurs seront amenés à exécuter ce code. Et justement, le fichier .flac permet de mener une attaque de type drive-by quand un utilisateur de Fedora 25 visite une page web piégée. Rien qu’en cliquant sur le fichier, le fichier ouvre la calculatrice. Avec une modification, il pourra charger n’importe quel code et l’exécuter avec les mêmes privilèges système accordés à l’utilisateur. Une telle attaque peut par exemple servir à lire et dérober les données personnelles de l’utilisateur comme ses documents, photos, e-mails et l’historique de chat. L’attaquant pourra aussi mettre la main sur les cookies du navigateur et les sessions de Gmail, Facebook, Twitter et les autres sites. Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs.

Une démo similaire montre comment l’attaque marche également sur Ubuntu :

Evans a expliqué que l’origine de ces failles est le non-recours au sandboxing (bac à sable) pour l'exécution de logiciels avec moins de risques pour le système d'exploitation. Selon lui, cette technique devrait être obligatoire de nos jours. Il a tenu à rappeler également que sa démonstration a été tenue exclusivement sur Fedora et Ubuntu, mais d’autres distributions seraient probablement concernées aussi.

Source : Scarybeastsecurity

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Forum Sécurité

**BufferBob** · 18/12/2016, 13h44

Envoyé par Coriolan

Un chercheur de sécurité révèle des failles zero day sur Fedora et Ubuntu remettant en question la sécurité des systèmes Linux

c'est sans doute pas une nouvelle hyper transcendante (des 0days y'en a toujours eu sur tous les systèmes et ça fait des années qu'on sait que Windows est la cible privilégiée des chercheurs en sécu), à part peut-être pour Aeson qui verra là à coup sûr l'occasion d'alimenter abondamment le conflit imaginaire et stérile Windows VS Linux

**JackJnr** · 19/12/2016, 09h52

Envoyé par BufferBob

c'est sans doute pas une nouvelle hyper transcendante (des 0days y'en a toujours eu sur tous les systèmes et ça fait des années qu'on sait que Windows est la cible privilégiée des chercheurs en sécu), à part peut-être pour Aeson qui verra là à coup sûr l'occasion d'alimenter abondamment le conflit imaginaire et stérile Windows VS Linux

Je suis d'accord avec toi, mais ce passage me semble le plus éloquent :

Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs

**Matthieu Vergne** · 19/12/2016, 10h04

Mais c'est à la condition d'obtenir lesdits privilèges. On ne parle pas d'un exploit qui permette de les obtenir, seulement que si un utilisateur tourne en root (alors qu'il n'est pas censé en avoir besoin pour écouter de la musique ou parcourir le Web) il prend les risques habituels qu'on reproche à Windows et pas à Linux.

**bloginfo** · 19/12/2016, 07h32

En fait, si j'ai bien compris, il s'agit d'une faille touchant Chrome sur Linux ! La parade est simple : ne pas utiliser Chrome.

**Matthieu Vergne** · 19/12/2016, 07h59

Envoyé par bloginfo

En fait, si j'ai bien compris, il s'agit d'une faille touchant Chrome sur Linux ! La parade est simple : ne pas utiliser Chrome.

Non, justement. La faille est sur la lecture de faux fichiers de musique, gérés par un programme bel et bien installé sur la machine. Chrome permet juste de profiter à distance de l'exploit (en accédant au faux fichier depuis une page Web).

**bloginfo** · 19/12/2016, 10h42

Avec quel autre logiciel, cet "exploit" est-il possible ?

**Xerthes** · 19/12/2016, 10h09

Certes, c'est une faille 0Day. Mais c'est un peu faiblard pour crier sur la sécurité de Linux. C'est plutôt une bibliothèque audio (donc peut de risque sur les serveurs) qui est incriminé et pas vraiment notre p'tit Manchot

**Tagashy** · 19/12/2016, 10h42

Cette vulnérabilité est deja vielle de 2 ou 3 semaines et il me semble qu'un patch est deja disponible.
Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.

**TiranusKBX** · 19/12/2016, 11h22

Envoyé par Tagashy

Cette vulnérabilité est deja vielle de 2 ou 3 semaines et il me semble qu'un patch est deja disponible.
Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.

Il est vrai qu'il faut une correspondance des deux pour être sûr de la légitimité d'un fichier, en l'absence de la correspondance il faudrait afficher un message d'erreur pour éviter les ennuis aux utilisateurs

**imikado** · 19/12/2016, 11h24

Envoyé par TiranusKBX

Il est vrai qu'il faut une correspondance des deux pour être sûr de la légitimité d'un fichier, en l'absence de la correspondance il faudrait afficher un message d'erreur pour éviter les ennuis aux utilisateurs

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis

**AoCannaille** · 19/12/2016, 11h47

Envoyé par imikado

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis

Sur le concept je suis d'accord, en particulier d'un point de vue développeur, mais en tant qu'ergonome, remonter des erreurs techniques à la tête de l'utilisateur est pas spécialement agréable...

**Matthieu Vergne** · 19/12/2016, 12h02

Envoyé par AoCannaille

Sur le concept je suis d'accord, en particulier d'un point de vue développeur, mais en tant qu'ergonome, remonter des erreurs techniques à la tête de l'utilisateur est pas spécialement agréable...

Tout est une question de présentation : on peut simplement dire que le fichier se présente comme étant de type A mais que son contenu montre qu'il est de type B, et donc qu'il est possible que le fichier soit corrompu ou qu'il ait un but différent de celui attendu par l'utilisateur. De là tu demandes la confirmation de l'ouverture/exécution. C'est du même acabit qu'un fichier zip corrompu : tu informes l'utilisateur dans un langage non technique en disant que le fichier est corrompu et donc ne peut pas être décompressé. La seule différence est qu'au lieu d'un unique "OK" tu donnes le choix entre ne pas lancer le fichier, le lancer en tant que A, ou le lancer en tant que B. N'importe quel utilisateur lambda arrêtera par peur ou forcera le lancement comme fichier de musique (qui ne marchera pas et donc arrêtera). Seuls les quelques aventuriers tenteront bêtement le type réel.

Quand on a un choix à faire, si on manque d'information c'est généralement le statu quo qui gagne, donc je ne doute pas que le simple fait de signaler cette incohérence suffirait a drastiquement réduire les risques.

**imikado** · 19/12/2016, 11h20

Je confirme pour le patch:
http://news.softpedia.com/news/game-...w-511022.shtml

As of December 15, 2016, Game Music Emulator 0.6.1 is available and fully patched against the security flaw mentioned above. It also looks like the Debian and Ubuntu developers have updated the game-music-emu packages for Debian GNU/Linux 8 "Jessie", Debian Sid, Ubuntu 12.04 LTS, 14.04 LTS, 16.04 LTS, 16.10, and 17.04.

A peine publiée mais déjà patchée depuis 4 jours

**Matthieu Vergne** · 19/12/2016, 11h35

Envoyé par imikado

Je confirme pour le patch:
http://news.softpedia.com/news/game-...w-511022.shtml

A peine publiée mais déjà patchée depuis 4 jours

Voilà le genre de chose qu'on ne voit pas sous Windows, et pourquoi ceux qui cherchent des poux à Linux sur cet aspect peuvent aller se recoucher.

Troll assumé. {^_^}v

Envoyé par imikado

Je suis d'accord que tout système devrait avertir d'une incohérence de ce type, ça éviterait bien des soucis

De même pour moi.

**Aiigl59** · 21/12/2016, 22h06

"Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs."
donc on est en pleine science fiction là...
Avec des SI qu'est-ce qu'on ferait pas...
Qu'est ce qu'il ne ferait pas ces "troud.." pour se faire remarquer, incroyable !
Faudrait peu être remettre l'église au centre du village des fois...

**SurferIX** · 22/12/2016, 02h02

Envoyé par Coriolan

... Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs.

Euh on est surpris de quelque chose qui est pourtant normal chez un virus non ? C'est pareil chez Windows non ? Pourquoi c'est choquant ?

**Christophe** · 22/12/2016, 08h50

Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.

Problème vu maintes et maintes fois. Les développeurs ne font pas assez attention à la vérification des champs des headers dans un format de fichier, cela limiterait l'utilisation possible de faille, mais ça ne les enlèveraient pas.

Pourquoi ne pas utiliser le sandboxing ? Surtout qu'un lecteur audio n'a par exemple aucun accès à faire en écriture au FS (mise à part peut-être un fichier de config).